Tracing social : il faut sauver le soldat « démocratie » !

Publié le 23/04/2020 par Etienne Wery

La crise du coronavirus aura mis à mal beaucoup de nos principes démocratiques fondamentaux. À l’instar de nombreux observateurs inquiets, nous sommes restés silencieux car ce n’est pas au cœur de la tempête qu’on commente les actions du capitaine. Mais le déconfinement se profile, et avec lui une étape supplémentaire risque d’être franchie : le « contact tracing » des citoyens par une application mobile.

Se déplacer librement, manifester, se réunir avec qui l’on veut, aller à l’église, à la synagogue ou la mosquée, faire prospérer son entreprise et exercer le métier que l’on veut, s’exprimer, jouir de sa propriété, protéger sa vie privée et ses données personnelles, être jugé équitablement, exercer un art, etc. Nous avons la chance fabuleuse de vivre dans un continent où les droits et libertés fondamentaux sont nombreux et effectifs.

Pourtant, chacun de ces droits et libertés a été allègrement bafoué au cours des semaines passées, sur l’autel de la santé publique et du coronavirus.

Le prix de l’ingérence

Est-ce un problème ? Pas nécessairement.

Les textes fondamentaux – Convention Européenne des Droits de l’Homme, Charte des droits fondamentaux de l’Union ou la Constitution – et leur interprétation nous rappellent que les droits et libertés, même fondamentaux, ne sont pas absolus. Il peut y avoir des ingérences mais à certains conditions qu’on résumera comme suit : il faut que l’ingérence (1) soit prévue par la loi, (2) qu’elle poursuive un objectif admis (dont la santé publique fait partie), (3) qu’elle soit nécessaire à cet objectif et (4) qu’elle n’apparaisse pas disproportionnée. Les textes varient dans leur formulation mais les conditions sont peu ou prou celles-là. En outre, l’ingérence doit respecter les lois spécifiques s’il y en a : par exemple, si l’ingérence porte sur des données personnelles, le RGPD doit impérativement être pris en compte.

Un jour, il faudra réfléchir à tête reposée au prix payé en termes de droits et libertés fondamentaux. La réflexion devra être menée calmement, non pour faire tomber des têtes, mais pour être mieux préparé aux prochaines crises que les virologues nous annoncent déjà.

N’a-t-on pas, sur l’autel de l’efficacité, pris des mesures inaptes ou disproportionnées ? N’a-t-on pas, un peu vite, considéré que le confinement strict (dont le prix est payé dans sa chair et son portefeuille par le citoyen, ainsi que par les acteurs économiques et autres contribuables, au risque de mettre en péril d’autres politiques comme le plan climatique) était la seule solution là où d’autres pays ont réussi moyennant une approche moins liberticide (et un meilleur niveau de préparation …) ? À partir de combien de malades et de morts est-on dans l’intérêt collectif, au nom duquel l’ingérence est socialement et juridiquement mieux acceptée ?

Pour l’heure, tentons à tout le moins de réfléchir à ce qui peut encore être fait dans l’immédiat : empêcher une nouvelle ingérence disproportionnée lors du déconfinement via le « tracing social ».

Le tracing social : inhérent au déconfinement?

Le système n’est pas définitif, mais en résumé il s’agit d’une application mobile à installer sur son smartphone, qui enregistre l’identifiant électronique de tous les autres utilisateurs à proximité de qui vous êtes passé. Fondée sur le bluetooth (la technologie qui permet d’écouter sa musique avec des écouteurs sans fil), l’application permet une captation de signal jusqu’à quelques mètres.

Objectif ? Si un utilisateur est testé positif ou diagnostiqué porteur du virus, le système peut avertir celles et ceux dont il a croisé la route au cours des jours précédents, à la librairie, au bureau, dans le train, etc. Pour leur dire quoi ? Mystère. Que ce n’est pas une bonne nouvelle, certes, mais encore… Pour qu’elles fassent quoi ? Mystère aussi. Sans doute se faire tester, mais y aura-t-il des tests en suffisance ?

Le consensus actuel est parfait : le tracing social serait inhérent au déconfinement et le refuser est incivique, voire égoïste. Le citoyen peut dormir tranquille : toutes les garanties auront été prises (sauf qu’un test mené récemment avec une application candidate a révélé une fuite de données et que l’on apprend qu’une partie des chercheurs qui travaillent sur le projet européen se sont retirés parce que le protocole utilisé ne serait pas sûr), et les données seront de surcroit anonymes. Anonymes, vraiment ? On peut douter : elles seront plus probablement pseudonymisées, c’est-à-dire remplacées par un identifiant unique, avec le risque ou la nécessité que quelque part dans le système, l’un ou l’autre gestionnaire ou intervenant technique puisse remonter à une personne déterminée, à tout le moins celle qui se déclare porteuse du virus.

Réfléchir avant d’agir …

Osons exprimer nos doutes, quitte à paraitre inciviques.

Que le système soit intrusif est une évidence. Le principe même de l’application consiste à organiser une énorme collecte des tous les contacts entretenus avec les autres utilisateurs. On peut d’ailleurs se demander si, même sans activer un système de géolocalisation au sens strict, le croisement de ces informations avec d’autres (Google, bornes wifi, etc.) ne permettrait pas de reconstituer largement les déplacements.

Qu’il puisse être utilisé de manière discriminatoire est un autre risque : quelle conséquence aura un refus (ou la difficulté ou l’impossibilité) d’utiliser l’application sur le retour au travail (réaction des collègues), l’accessibilité au test de dépistage, l’exclusion sociale qui ne dit pas son nom (ne voyons plus untel pour l’instant), … ?

Le risque est aussi que l’application serve de modèle ou d’inspiration. Une fois accepté socialement dans le cadre de la pandémie, le système servira-t-il de modèle pour d’autres finalités (terrorisme, fiscalité, délinquance, immigration, et pourquoi pas, demain, la surveillance des opposants et de tous ceux qui ne pensent pas « correctement »). Le système aura, qu’on le veuille ou non, valeur de précédent. Or, l’expérience montre qu’en la matière, les portes ouvertes ne se referment jamais …

Que le système soit efficace est sujet à débat. L’application toute sophistiquée soit-elle, ne peut tenir compte de toutes les circonstances qui m’ont amené à croiser la route d’une personne positive. Était-elle dans la voiture d’à côté, à attendre que le feu passe au vert ? En ce cas, deux vitres nous séparaient. La caissière du magasin va-t-elle être avertie parce que 10 clients ont défilés ce jour-là devant son hygiaphone qui la protège efficacement ? etc.

L’efficacité est encore conditionnée à un seuil d’utilisation : selon certains experts, si moins de 60% de la population ne l’utilise pas, le système serait mort-né. D’où l’idée parfois émise de rendre la future application obligatoire, ce qui paraît inenvisageable au regard des principes précités dans une société démocratique.

Autres problèmes d’efficacité : le système ne gère forcément pas les personnes asymptomatiques qui sont, si l’on en croit les experts virologues, nombreuses, surtout chez les jeunes ; il ne prend pas plus en compte les personnes qui n’ont pas de smartphone ou pas la compétence d’installer une application et l’utiliser (on pense évidemment à celles qui payent le plus lourd tribu actuellement : les personnes âgées).

Le système est par ailleurs terriblement anxiogène. Comment le citoyen doit-il gérer le message redouté : « vous avez croisé un porteur du virus » ? Le stress est garanti : suis-je positif aussi ? quand le saurai-je ? dois-je me reconfiner ? quel est le taux de risque ? Il y a, dans l’ignorance d’avoir croisé la route d’un malade ou d’une personne asymptomatique, une protection (fût-ce inconsciente) qui a permis à beaucoup de gens de traverser l’épreuve du confinement sans craquer.

Et si le système est, comme d’aucuns le vendent déjà, absolument anonyme, comment se prémunir contre le malveillant qui, après avoir passé ses journées en prises de contact trouvera “drôle” de se déclarer infecté alors qu’il ne l’est nullement, plongeant des tas de personnes dans la plus grande angoisse ? L’efficacité du système n’implique-t-elle pas un contrôle de la qualité et de la pertinence des données entrées et, dans ce cas, comment arbitrer cette exigence avec l’anonymat ?

N’y-a-t-il pas des mesures alternatives moins intrusives, par exemple le port du masque et une stratégie efficace de dépistage des porteurs et malades ? On a le sentiment, avec quelques mois de recul, que ces deux dossiers patinent toujours et que le tracing social s’impose à défaut de pouvoir assurer le succès de ces alternatives. Or, le tracing supposera nécessairement d’être couplé à ces approches, notamment si l’on veut donner une suite utile à l’information transmise d’être « à risque ».

Pourquoi s’interroger à ce point sur le système, son efficacité et les alternatives ? Parce que c’est uniquement à ce prix qu’on peut mener l’analyse de la « nécessité » de l’ingérence et de sa « proportionnalité », qui figurent parmi les conditions les plus importantes de sa validité juridique et de son acceptation sociale. De plus, toutes ces modalités d’utilisation et caractéristiques techniques doivent faire l’objet d’un contrôle serré de conformité au RGPD (limitation des finalités et non réutilisation, minimisation des données, limitation de la conservation et en l’espèce de l’utilisation de l’application, mesures de sécurité, analyse préalable des risques etc.).

Déficit démocratique ?

C’est toute cette réflexion que l’on attend du débat, qui doit avoir lieu devant le parlement.

C’est le cas en France pour l’instant.

En Belgique, qui vit sans gouvernement de plein exercice depuis 18 mois (!), il paraît inadmissible que ces questions soient tranchées sans débat public, sans traces ni archives parlementaires, sous couvert des pouvoirs spéciaux accordés au gouvernement provisoire actuel. Ce n’est pas une question de compétence ou de tuyauterie juridique belgo-belge. L’adoption d’un tel texte par un arrêté délibéré en Conseil des Ministres ne pourrait être que l’expression d’un grave déficit démocratique, même si une loi devra postérieurement l’avaliser pour que la mesure persiste.

Il est également exclu de ne pas solliciter l’avis des garde-fous de notre démocratie (Conseil d’État, Autorité de protection des données ou CNIL, etc.).

Un article paru dans Le Soir (16/4) reprenant les propos d’un journaliste allemand concluait récemment : « une société démocratique devrait pouvoir accorder cette confiance à ses institutions, même si elle doit renoncer à ses libertés fondamentales pendant une durée indéterminée ».

Nous estimons, au contraire, que c’est à sa capacité à préserver les libertés fondamentales en période de crise, que l’on reconnait une société démocratique.

(Cet article est la version modifiée d’une carte blanche publiée par les auteurs dans le journal Le Soir, version électronique du 23 avril 2020)